Besucher zählen ohne Cookies mit einem Cloudflare Worker

Ich zähle Besucher ohne Cookies mit einem Skript, das Zugriffe an einen Cloudflare Worker, also ein bei einer Anfrage ausgeführtes Programm, meldet. Der Worker legt die Ereignisse für 60 Tage in Workers KV ab, einem Schlüssel-Wert-Speicher. Über mehrere Tage bleiben Personen unbekannt, und gewisse Automaten können mitzählen.

Aus Aufrufen wurden Tagesbesuche

Seit dem 22. Juli 2026 meldet ein Skript auf meinen Websites jeden Zugriff per POST. POST ist eine HTTP-Anfrage zum Übermitteln von Daten. Für die Zählung binde ich keinen Dienst eines Dritten ein.

Vorher erfasste ich nur Aufrufe. Am 27. Juli 2026 hatten 163 von 169 Aufrufen keine erkennbare Herkunft. Meine eigenen Besuche zählten ebenfalls mit. Damit wusste ich, wie oft Seiten geladen worden waren, doch die Tagesbesuche und ihre Quellen blieben weitgehend offen.

Die neue Zählung gruppiert Ereignisse anhand einer Tageskennung. Der Worker ordnet die Herkunft in sechs Klassen ein. Diese sind KI-Assistent, Suche, Social, Verweis, direkt und intern. Pro Besucher zählt die aussagekräftigste Quelle des Tages.

Die Tageskennung begrenzt das Wiedererkennen

Die Tageskennung ist ein SHA-256-Hash, also ein berechneter Prüfwert. Er entsteht aus dem Tag, der IP-Adresse und der Browserkennung mit einem täglich wechselnden Salz. Dieses Salz ist ein Zusatz für die Berechnung. Der Hash wird auf 8 Bytes gekürzt.

Die IP-Adresse fliesst in die Berechnung ein und wird nie gespeichert. Nach dem Tageswechsel führt die Kennung zu niemandem mehr. Dadurch kann ich Besuche innerhalb eines Tages zusammenfassen. Eine Verbindung zwischen mehreren Tagen entsteht daraus nicht.

Gespeichert werden der Pfad, die Herkunft des Verweises, der Gerätetyp, die Sprache, die Stunde, die Lesedauer und die Tageskennung. So funktioniert Workers KV beschreibt den Speicher, in dem diese Ereignisse liegen. Die Signale Do Not Track und Global Privacy Control werden respektiert.

Mit der Tageskennung stimmte ein Satz in meiner Datenschutzerklärung dieser Website nicht mehr. Er hatte ein Wiedererkennen ausgeschlossen. Ende Juli 2026 ersetzte ich diesen Satz. Der Datenschutz betrifft damit auch eine Kennung, die nur für einen Tag gilt.

Der Bericht ordnet Quellen und Lesezeit

Ab 15 Sekunden Lesedauer gilt eine Seite als gelesen. Das gibt mir neben dem Aufruf ein weiteres Signal dafür, wie ein Besuch verlief. Dieses Cookieless Tracking bleibt auf die gespeicherten Merkmale begrenzt.

Meine eigenen Browser kann ich pro Domain ausschliessen. Dazu rufe ich eine Seite mit dem Zusatz ?nichtzaehlen auf. Mit ?dochzaehlen hebe ich den Ausschluss wieder auf. Die Einstellung gilt jeweils für den verwendeten Browser.

Automaten erkenne ich an der Browserkennung und an navigator.webdriver. navigator.webdriver ist ein Merkmal, mit dem ein Browser seine Steuerung durch ein Programm anzeigen kann. Ein ferngesteuerter Browser, der dort false meldet, zählt trotzdem mit. Diese Grenze bleibt im Bericht sichtbar, weil die Zählung solche Zugriffe nicht zuverlässig aussondern kann.

Jeden Morgen um 07:05 schickt mir mein Agent Hermes per WhatsApp einen Zugriffsbericht der drei Websites. Darin sehe ich die erfassten Besuche, ihre Einordnung und die Lesedauer.

Was ich daraus mitnehme

Die Zählung zeigt mir Tagesbesuche, Quellen und Nutzungsmuster mit wenigen gespeicherten Merkmalen. Besucher lassen sich über mehrere Tage nicht zusammenzählen, weshalb die Wochenbilanz von Besuchen und nicht von Menschen spricht. Auch die Erkennung von Automaten bleibt begrenzt, wenn ein ferngesteuerter Browser seine Steuerung verbirgt.

---

Modell dieser Notiz: gpt-5.6-sol.